SAP Commerce Cloud: SQL-Injection über Eingaben in Listen-APIs
Zusammenfassung
SAP Commerce Cloud (OOTB Code) validiert bestimmte Eingabeparameter vor deren Verwendung in Datenbankabfragen nicht ausreichend, wodurch eine SQL-Injection möglich ist. Ein authentifizierter Benutzer mit Zugriff auf die betroffenen Listen-APIs kann gezielt präparierte Anfragen senden, um Daten in der Anwendungsdatenbank zu lesen, zu ändern oder zu löschen. SAP stuft die Schwachstelle als hoch ein (CVSS 8.8), die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch bewertet.
Betroffen
- SAP Commerce Cloud (OOTB Code), COM_CLOUD 2211-JDK21
- Standardkonfiguration: nicht betroffen
- Andere Branches und JDK-Versionen: Unbekannt. Die genaue Liste der betroffenen Releases steht in SAP Note 3800517.
Behoben in
- Patch auf 2211-jdk21.18 oder neuer (gemäss Sekundärquellen; in SAP Note 3800517 prüfen)
- Anwendung nach dem Einspielen des Patches neu erstellen und neu bereitstellen
Umgehung
Unbekannt. Die Quellen unterscheiden sich bei einer temporären Massnahme. Falls das Patchen verzögert wird, die genauen Schritte aus SAP Note 3800517 beziehen. Die Einschränkung des Zugriffs auf die betroffenen Listen-APIs ist eine sinnvolle Übergangsmassnahme (eigene Einschätzung, keine Herstelleranweisung).
Ausnutzung
- SAP meldet keine Ausnutzung in freier Wildbahn.
- Kein bestätigter öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog; vor einer Abhängigkeit erneut prüfen.
Unsere Empfehlung
- Alle SAP-Commerce-Cloud-Instanzen identifizieren und die Build-Version prüfen.
- Patch aus SAP Note 3800517 mit Neuerstellung und Neubereitstellung einspielen.
- Prüfen, welche Konten (Kunden, Partner oder intern) die betroffenen Listen-APIs aufrufen können, und nicht benötigte Berechtigungen entfernen.
- Logs bis zur Behebung auf ungewöhnliche Abfrageparameter überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- SAP Note 3800517 me.sap.com
- SAP Security Patch Day url.sap
- SAP Security Notes October 2026 support.sap.com
- RedRays: SAP Security Patch Day October 2026 redrays.io
- Pathlock: SAP Patch Day October 2026 pathlock.com
- Onapsis: SAP Security Patch Day October 2026 onapsis.com
- Inprosec: SAP Security Notes October 2026 www.inprosec.com
- VulDB: CVE-2026-89113 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:16.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.